مرورگر آن را اعمال میکند، نه سرور: درخواست باز هم به سرور میرسد. کنترل خواندن است، پس دفاع CSRF نیست.
CORS
مکانیزمی که با هدرها به مرورگر میگوید صفحهای از origin دیگر مجاز به خواندن پاسخ هست یا نه.
مرورگر آن را اعمال میکند، نه سرور: درخواست باز هم به سرور میرسد. کنترل خواندن است، پس دفاع CSRF نیست.